{"id":916869,"date":"2026-10-29T17:19:45","date_gmt":"2026-10-29T17:19:45","guid":{"rendered":"https:\/\/www.ninjaone.com\/blog\/accesso-just-in-time-admin-azure-ad\/"},"modified":"2026-10-29T17:19:47","modified_gmt":"2026-10-29T17:19:47","slug":"accesso-just-in-time-admin-azure-ad","status":"publish","type":"post","link":"https:\/\/www.ninjaone.com\/it\/blog\/accesso-just-in-time-admin-azure-ad\/","title":{"rendered":"Come implementare l\u2019accesso Just-in-Time per i ruoli di amministratore di Azure AD"},"content":{"rendered":"<div class=\"in-context-cta\"><h2 style=\"margin-top: 0px;\">Punti chiave<\/h2>\n<ul>\n<li><b>Configura <\/b><b>P<\/b><b><\/b><b>IM nell\u2019interfaccia di amministrazione di Entra:<\/b> attiva PIM, assegna i ruoli come \u201cIdoneo\u201d, configura la durata dell\u2019attivazione, richiedi MFA e approvazione e definisci l\u2019ambito per una gestione controllata dei privilegi.<\/li>\n<li><b>Policy <\/b><b>d<\/b><b><\/b><b>i <\/b><b>a<\/b><b><\/b><b>ttivazione dei ruoli:<\/b> definisci i requisiti di MFA, giustificazione e approvazione, la durata dell\u2019attivazione e le impostazioni di notifica, assicurandoti che tutte le modifiche siano verificabili nei log di Entra per garantire la tracciabilit\u00e0.<\/li>\n<li><b>Integrazione <\/b><b>c<\/b><b><\/b><b>on PowerShell per l\u2019accesso <\/b><b>J<\/b><b><\/b><b>IT:<\/b> usa Microsoft Graph o il modulo PowerShell di Azure AD per automatizzare le assegnazioni di ruolo a tempo determinato, permettendo l\u2019integrazione con i flussi di lavoro di gestione dei ticket o delle richieste di servizio.<\/li>\n<li><b>Applicazione locale tramite Registro di sistema e GPO:<\/b> configura i Criteri di gruppo e le impostazioni del Registro di sistema per applicare il principio del minimo privilegio, negare gli accessi non necessari e richiedere i prompt UAC per le attivit\u00e0 che richiedono l\u2019elevazione.<\/li>\n<li><b>Pratiche di <\/b><b>a<\/b><b><\/b><b>udit e <\/b><b>a<\/b><b><\/b><b>vviso:<\/b> usa i log di audit e gli strumenti SIEM per monitorare le attivazioni dei ruoli, individuare un uso sospetto dei privilegi e generare avvisi su attivit\u00e0 JIT insolite o tentativi MFA falliti.<\/li>\n<\/ul>\n<\/div>\n<p><strong>L\u2019accesso amministrativo Just-in-Time (JIT) in Azure AD<\/strong> ti permette di concedere privilegi elevati per eseguire attivit\u00e0 amministrative per un periodo di tempo limitato. \u00c8 una soluzione utile per i reparti IT interni e per gli MSP, perch\u00e9 riduce il rischio che account con privilegi eccessivi vengano sfruttati in attacchi informatici.<\/p>\n<p>Questa guida spiega come funziona l\u2019accesso amministrativo JIT in Azure e illustra i passaggi per implementare un accesso amministrativo a tempo determinato con Microsoft Entra ID Privileged Identity Management (PIM), utilizzando l\u2019interfaccia di amministrazione di Entra, PowerShell e il Registro di sistema o i Criteri di gruppo per l\u2019applicazione delle regole.<\/p>\n<h2>Obiettivi principali dell\u2019accesso JIT in Azure<\/h2>\n<p>L\u2019accesso amministrativo permanente, cio\u00e8 l\u2019uso di account utente con privilegi amministrativi stabili, \u00e8 un vettore di attacco molto frequente. Ridurre il numero di questi account privilegiati riduce la superficie di attacco, perch\u00e9 diminuiscono gli account le cui credenziali possono essere sottratte o le cui sessioni possono essere dirottate: la tua infrastruttura IT diventa cos\u00ec pi\u00f9 sicura e pi\u00f9 conforme.<\/p>\n<p>L\u2019elevazione a tempo limitato protegge da questo rischio, perch\u00e9 concede all\u2019utente i privilegi amministrativi solo dopo un\u2019approvazione e l\u2019<a href=\"https:\/\/www.ninjaone.com\/it\/blog\/configurare-mfa-office-365\/\">autenticazione a pi\u00f9 fattori<\/a>. Al termine dell\u2019attivit\u00e0, i privilegi amministrativi dell\u2019utente scadono: l\u2019account non pu\u00f2 quindi essere usato per sferrare un attacco n\u00e9 per altre attivit\u00e0 amministrative non autorizzate.<\/p>\n<p>Tra gli obiettivi da perseguire nella configurazione dell\u2019accesso JIT in Azure con <a href=\"https:\/\/learn.microsoft.com\/en-us\/entra\/id-governance\/privileged-identity-management\/pim-configure\" target=\"_blank\" rel=\"noopener\">Microsoft Entra Privileged Identity Management<\/a> ci sono la riduzione al minimo dei diritti amministrativi permanenti, la richiesta di una giustificazione e dell\u2019approvazione MFA prima dell\u2019elevazione, l\u2019audit di tutte le attivit\u00e0 amministrative e la revoca automatica dei diritti amministrativi. L\u2019accesso JIT andrebbe inoltre affiancato ad altre best practice di sicurezza, come l\u2019<a href=\"https:\/\/www.ninjaone.com\/it\/blog\/configura-i-criteri-di-accesso-condizionale-ad\/\">accesso condizionale<\/a> e gli avvisi.<\/p>\n<h2>Prerequisiti per l\u2019uso di Microsoft Entra ID Privileged Identity Management<\/h2>\n<p>Per utilizzare PIM ti servono:<\/p>\n<ol>\n<li>Una licenza Azure AD Premium P2 (necessaria per PIM)<\/li>\n<li>I diritti di Amministratore globale o di Amministratore ruolo con privilegi per configurare PIM<\/li>\n<li>L\u2019interfaccia di amministrazione di Microsoft Entra ID oppure PowerShell per la configurazione<\/li>\n<li>Facoltativamente, una piattaforma SIEM o <a href=\"https:\/\/www.ninjaone.com\/it\/blog\/il-software-rmm-definizione\/\">RMM<\/a> per il monitoraggio, gli avvisi e la distribuzione della configurazione<\/li>\n<li>Endpoint Windows registrati in <a href=\"https:\/\/www.ninjaone.com\/it\/blog\/intune-e-rmm\/\">Intune<\/a> o monitorati tramite RMM per l\u2019applicazione delle policy<\/li>\n<\/ol>\n<h2>Attivare PIM e assegnare i ruoli idonei nell\u2019interfaccia di amministrazione di Microsoft Entra ID<\/h2>\n<p>Per iniziare, devi attivare PIM e assegnare i ruoli nell\u2019interfaccia di amministrazione di Microsoft Entra ID:<\/p>\n<ol>\n<li>Vai all\u2019interfaccia di amministrazione di Microsoft Entra.<\/li>\n<li>Spostati su <strong>Governance delle identit\u00e0 &gt; Privileged Identity Management<\/strong>.<\/li>\n<li>Seleziona i ruoli di Microsoft Entra.<\/li>\n<li>Scegli un ruolo (ad esempio Amministratore globale o Amministratore di Exchange).<\/li>\n<li>Fai clic su <strong>Aggiungi assegnazioni<\/strong>.<\/li>\n<li>Imposta l\u2019utente come \u201cIdoneo\u201d per i privilegi a tempo limitato.<\/li>\n<li>Definisci l\u2019ambito (ad esempio l\u2019intero tenant o una risorsa specifica).<\/li>\n<li>Configura separatamente le impostazioni del ruolo per definire la durata dell\u2019attivazione (ad esempio da 1 a 24 ore).<\/li>\n<li>Attiva <strong>Richiedi approvazione<\/strong> e <strong>Richiedi MFA<\/strong> secondo le tue necessit\u00e0 nelle impostazioni di attivazione.<\/li>\n<\/ol>\n<p>Gli utenti devono attivare i ruoli in modo esplicito e il loro accesso scade automaticamente. Per la massima sicurezza, \u00e8 consigliabile richiedere sempre approvazione e MFA.<\/p>\n<h2>Configurare le policy di attivazione dei ruoli<\/h2>\n<p>In PIM puoi configurare le policy che regolano le modalit\u00e0 di attivazione dei ruoli. Le policy comprendono:<\/p>\n<ul>\n<li>Se \u00e8 richiesta l\u2019MFA<\/li>\n<li>Se \u00e8 richiesta una giustificazione<\/li>\n<li>Se \u00e8 richiesta un\u2019approvazione (puoi inoltre specificare quali utenti possono approvare)<\/li>\n<li>La durata dell\u2019attivazione (ad esempio da 1 a 8 ore)<\/li>\n<li>Le impostazioni delle notifiche<\/li>\n<\/ul>\n<p>Puoi configurarle nell\u2019interfaccia di amministrazione di Entra selezionando un ruolo e andando poi su <strong>Impostazioni &gt; Impostazioni ruolo<\/strong><br \/>\n<b>Richiedere<\/b> numeri di ticket o ID di caso come campi di giustificazione \u00e8 una pratica diffusa. Tutte le modifiche alla configurazione sono verificabili nei log di Entra.<\/p>\n<h2>Gestire le assegnazioni JIT con PowerShell<\/h2>\n<p>Puoi anche usare <a href=\"https:\/\/learn.microsoft.com\/en-us\/graph\/overview\" target=\"_blank\" rel=\"noopener\">Microsoft Graph<\/a> o il modulo PowerShell di Azure AD per assegnare i ruoli in modo programmatico: una soluzione ideale per l\u2019integrazione con le richieste di servizio o con i flussi di lavoro automatizzati di gestione dei ticket che concedono accessi circoscritti.<\/p>\n<ol>\n<li>Per farlo, connettiti a Microsoft Graph con il comando:<\/li>\n<\/ol>\n<p><code><strong>Connect-MgGraph -Scopes \"RoleManagement.ReadWrite.Directory\"<\/strong><\/code><\/p>\n<ol start=\"2\">\n<li>Poi elenca i ruoli e i relativi ID:<\/li>\n<\/ol>\n<p><strong>Get-MgRoleManagementDirectoryRoleDefinition<\/strong><\/p>\n<ol start=\"3\">\n<li>Per creare un\u2019assegnazione di ruolo a tempo determinato per un utente, esegui questo comando:<\/li>\n<\/ol>\n<p><strong>$params = @{<\/strong><br \/>\n<strong>Action = &#8220;adminAssign&#8221;<\/strong><br \/>\n<strong>PrincipalId = $userId<\/strong><br \/>\n<strong>RoleDefinitionId = $roleId<\/strong><br \/>\n<strong>DirectoryScopeId = &#8220;\/&#8221;<\/strong><br \/>\n<strong>Justification = &#8220;Granting temporary access&#8221;<\/strong><br \/>\n<strong>ScheduleInfo = @{<\/strong><br \/>\n<strong>StartDateTime = (Get-Date).ToUniversalTime().ToString(&#8220;yyyy-MM-ddTHH:mm:ssZ&#8221;)<\/strong><br \/>\n<strong>Expiration = @{<\/strong><br \/>\n<strong>Type = &#8220;AfterDuration&#8221;<\/strong><br \/>\n<strong>Duration = &#8220;PT4H&#8221; # ISO 8601 format for 4 hours<\/strong><br \/>\n<strong>}<\/strong><br \/>\n<strong>}<\/strong><br \/>\n<strong>}<\/strong><br \/>\n<strong>New-MgRoleManagementDirectoryRoleAssignmentScheduleRequest -BodyParameter $params<\/strong><\/p>\n<ol start=\"4\">\n<li>Attiva manualmente il ruolo dal portale di Microsoft Entra (facoltativo).<\/li>\n<\/ol>\n<h2>Applicare le regole con il Registro di sistema e i Criteri di gruppo per allineare le policy locali<\/h2>\n<p>Anche se il JIT \u00e8 basato sul cloud, i sistemi locali andrebbero configurati secondo il principio del minimo privilegio e dotati di funzioni di audit.<\/p>\n<p>Ad esempio, puoi usare l\u2019<a href=\"https:\/\/www.ninjaone.com\/it\/blog\/criteri-di-gruppo-active-directory\/\">oggetto Criteri di gruppo (GPO)<\/a> che si trova in <strong>Configurazione del computer &gt; Impostazioni di Windows &gt; Impostazioni di sicurezza &gt; Criteri locali &gt; Assegnazione diritti utente<\/strong> per <a href=\"https:\/\/learn.microsoft.com\/en-us\/previous-versions\/windows\/it-pro\/windows-10\/security\/threat-protection\/security-policy-settings\/deny-access-to-this-computer-from-the-network\" target=\"_blank\" rel=\"noopener\"><strong>Nega accesso al computer dalla rete<\/strong><\/a> a utenti o gruppi specifici. Questa impostazione impedisce a tali account di usare il diritto di accesso dalla rete, ma non limita tutte le forme di connessione remota.<\/p>\n<p>Anche il <a href=\"https:\/\/www.ninjaone.com\/videos\/windows\/what-is-the-windows-registry-your-complete-guide\/\">Registro di sistema di Windows<\/a> pu\u00f2 essere utilizzato per applicare impostazioni predefinite pi\u00f9 restrittive al comportamento dell\u2019elevazione, come la richiesta dei prompt UAC. Ad esempio:<\/p>\n<ul>\n<li><span style=\"font-weight: normal !msorm;\"><strong>EnableLUA = 1 <\/strong><\/span>garantisce che il Controllo dell\u2019account utente (UAC) sia attivo.<\/li>\n<li><span style=\"font-weight: normal !msorm;\"><strong>ConsentPromptBehaviorAdmin = 1 <\/strong><\/span>configura l\u2019UAC in modo che agli amministratori in modalit\u00e0 di approvazione amministratore venga richiesto il consenso quando eseguono operazioni che richiedono l\u2019elevazione. Questo non significa per\u00f2 che tutte le azioni amministrative generino sempre una richiesta: vale in modo specifico per gli scenari di elevazione.<\/li>\n<\/ul>\n<p>Queste configurazioni rafforzano la sicurezza locale, ma non applicano direttamente l\u2019MFA n\u00e9 impediscono che venga aggirata. L\u2019applicazione dell\u2019MFA va sempre gestita tramite piattaforme come Microsoft Entra ID.<\/p>\n<h2>Audit e avvisi sull\u2019attivit\u00e0 JIT<\/h2>\n<p>I log di audit vanno utilizzati per tenere traccia delle attivazioni dei ruoli e dei comportamenti di accesso.<\/p>\n<p>Ecco un esempio di query PowerShell per recuperare le voci del log di audit:<\/p>\n<p><strong>Search-UnifiedAuditLog -StartDate (Get-Date).AddHours(-24) -EndDate (Get-Date) -Operations &#8220;Add member to role&#8221; |<\/strong> <strong>Select-Object CreationDate, UserIds, Operations, AuditData<\/strong><\/p>\n<p>Nei log di audit di Microsoft Entra, filtra le operazioni &#8220;Add member to role&#8221; e &#8220;Update role assignment&#8221; per tenere traccia degli eventi di attivazione. Se monitori anche un Active Directory on-premises, l\u00ec tornano utili gli ID evento 4670 e 4688, che per\u00f2 non registrano le attivazioni dei ruoli PIM di Entra ID nel cloud.<\/p>\n<p>Puoi poi inviare questi log al tuo RMM o SIEM per gli avvisi e il reporting.<\/p>\n<p>Conviene usare strumenti di log analytics o un SIEM per generare avvisi in caso di attivazioni frequenti, elevazioni di ruolo al di fuori degli orari previsti e richieste di elevazione fallite o ripetute.<\/p>\n<h2>Altri aspetti da valutare per JIT e PIM<\/h2>\n<p>Quando configuri l\u2019accesso JIT di Azure in PIM, devi tenere conto anche dei tuoi flussi di lavoro e dei ruoli utente: gli utenti abilitati ad approvare le richieste di elevazione vanno scelti con cura e devono comprendere a fondo le implicazioni di ogni richiesta. Conviene inoltre creare ruoli personalizzati con ambiti ristretti, evitando gli account di amministrazione globale e applicando il <a href=\"https:\/\/www.ninjaone.com\/it\/blog\/capire-e-implementare-azure-rbac\/\">principio del minimo privilegio<\/a>.<\/p>\n<p>Rivedi regolarmente i ruoli ed elimina quelli non pi\u00f9 necessari. La pulizia di ruoli e assegnazioni dovrebbe essere integrata nelle procedure di onboarding e offboarding del personale.<\/p>\n<h2>Risoluzione dei problemi dell\u2019accesso Just-in-Time di Azure<\/h2>\n<p>Se la tua implementazione JIT in Azure non funziona come previsto, verifica questi possibili problemi:<\/p>\n<ol>\n<li><strong>Il ruolo non \u00e8 assegnabile:<\/strong> assicurati che l\u2019utente non sia gi\u00e0 attivo o non abbia gi\u00e0 ricevuto l\u2019assegnazione tramite un gruppo<\/li>\n<li><strong>Attivazione negata:<\/strong> controlla se manca l\u2019MFA o il campo della giustificazione<\/li>\n<li><strong>Errori dell\u2019API Graph:<\/strong> verifica le autorizzazioni e l\u2019ambito richiesti durante la richiesta del token<\/li>\n<li><strong>Gli utenti locali riescono ad aggirare le restrizioni:<\/strong> verifica che le restrizioni tramite GPO e Registro di sistema siano attive, in modo da impedire l\u2019elevazione tramite account amministratore locali<\/li>\n<\/ol>\n<h2>NinjaOne RMM offre maggiore visibilit\u00e0 e controllo su tutta la tua infrastruttura IT e sui tuoi endpoint<\/h2>\n<p>Microsoft Entra ID Privileged Identity Management offre una soluzione completa di elevazione amministrativa JIT applicata a livello cloud. La sicurezza garantita da questa funzionalit\u00e0 pu\u00f2 essere ampliata con <a href=\"https:\/\/www.ninjaone.com\/it\/rmm\/\">NinjaOne RMM<\/a>, che ti d\u00e0 una visione completa di tutti i dispositivi, i servizi e le attivit\u00e0 degli utenti in un unico punto e automatizza la distribuzione delle configurazioni su tutti i dispositivi.<\/p>\n<p>La piattaforma MSP e UEM di NinjaOne mette a disposizione strumenti per l\u2019esecuzione degli script e la distribuzione di policy tramite Registro di sistema o GPO, e supporta il monitoraggio dei file di log e degli eventi di Windows per un audit completo (incluse le escalation di privilegi). Include anche reporting e registrazione per la conformit\u00e0, cos\u00ec puoi correlare le attivazioni PIM con l\u2019attivit\u00e0 degli endpoint e verificare che le escalation amministrative siano autorizzate e usate in modo responsabile.<\/p>\n<p>NinjaOne include inoltre strumenti di automazione in grado di disattivare gli account utente quando viene rilevata un\u2019attivit\u00e0 sospetta, isolare i sistemi compromessi ed eseguire l\u2019escalation dei ticket al referente giusto o avviare script di remediation, potenziando notevolmente la tua capacit\u00e0 di automatizzare la risposta agli incidenti di sicurezza.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>L\u2019accesso amministrativo Just-in-Time (JIT) in Azure AD ti permette di concedere privilegi elevati per eseguire attivit\u00e0 amministrative per un periodo di tempo limitato. \u00c8 una soluzione utile per i reparti IT interni e per gli MSP, perch\u00e9 riduce il rischio che account con privilegi eccessivi vengano sfruttati in attacchi informatici. Questa guida spiega come funziona [&hellip;]<\/p>\n","protected":false},"author":35,"featured_media":554294,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_relevanssi_hide_post":"","_relevanssi_hide_content":"","_relevanssi_pin_for_all":"","_relevanssi_pin_keywords":"","_relevanssi_unpin_keywords":"","_relevanssi_related_keywords":"","_relevanssi_related_include_ids":"","_relevanssi_related_exclude_ids":"","_relevanssi_related_no_append":"","_relevanssi_related_not_related":"","_relevanssi_related_posts":"","_relevanssi_noindex_reason":"","_lmt_disableupdate":"","_lmt_disable":"","footnotes":""},"categories":[4354],"tags":[],"class_list":["post-916869","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-operazioni-it"],"acf":[],"modified_by":null,"_links":{"self":[{"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/posts\/916869","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/users\/35"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/comments?post=916869"}],"version-history":[{"count":1,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/posts\/916869\/revisions"}],"predecessor-version":[{"id":916870,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/posts\/916869\/revisions\/916870"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/media\/554294"}],"wp:attachment":[{"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/media?parent=916869"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/categories?post=916869"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/tags?post=916869"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}